🤖 AI

ProToken: Token-Level Attribution for Federated Large Language Models

Ursprüngliche Autoren: Waris Gill, Ahmad Humayun, Ali Anwar, Muhammad Ali Gulzar

Veröffentlicht 2026-01-29

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

Ursprüngliche Autoren: Waris Gill, Ahmad Humayun, Ali Anwar, Muhammad Ali Gulzar

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich eine Gruppe von Ärzten aus verschiedenen Krankenhäusern vor, die gemeinsam eine superintelligente medizinische KI entwickeln wollen. Sie möchten die KI mit den Daten ihrer Patienten trainieren, um Krankheiten zu diagnostizieren, aber sie können die eigentlichen Patientendaten aufgrund von Datenschutzgesetzen nicht teilen. Dies nennt man Federated Learning (Föderiertes Lernen). Anstatt die Rohdaten zu senden, schicken sie Updates an ein zentrales „Gehirn“ (das globale Modell).

Stellen Sie sich nun vor, diese neue KI gibt plötzlich eine seltsame, falsche Antwort auf eine bestimmte Frage. Vielleicht weigert sie sich plötzlich zu helfen oder gibt gefährliche Ratschläge. Die Ärzte müssen wissen: Welches Krankenhaus der Daten hat diesen Fehler verursacht? War es die Datenquelle von Krankenhaus A, B oder C?

In der Vergangenheit war dies unmöglich zu bestimmen, weil die KI ein „Black Box“-System war, das aus vielen vermischten Teilen bestand. Dieser Text stellt ein neues Werkzeug namens ProToken vor, das dieses Rätsel löst.

Hier ist, wie ProToken funktioniert, erklärt anhand einfacher Analogien:

1. Das Problem: Die gemischte Suppe

Stellen Sie sich das fertige KI-Modell wie einen riesigen Topf Suppe vor, der durch das Mischen von Zutaten von 50 verschiedenen Köchen (Clients) entstanden ist. Wenn die Suppe schlecht schmeckt, lässt sich nicht leicht sagen, welcher Koch das verdorbene Gemüse hinzugefügt hat, da alle Aromen miteinander vermischt sind. In der Welt der KI ist es schwierig nachzuvollziehen, welcher „Koch“ für welches spezifische Wort verantwortlich ist, wenn die KI einen Satz Wort für Wort generiert.

2. Die Lösung: ProToken (Der Geschmacks-Detektiv)

ProToken ist wie ein Detektiv, der die Suppe probieren und sagen kann: „Dieser spezifische Löffel Salz kam von Koch Nr. 3.“ Dies geschieht Token für Token (Wort für Wort), während die KI spricht.

Es nutzt zwei Haupt-„Superkräfte“, um dies zu tun, ohne gegen Datenschutzregeln zu verstoßen:

Superkraft Nr. 1: Die Erkenntnis der „späten Phase“ (Strategische Schichtauswahl)
Stellen Sie sich eine Baustelle vor, auf der ein Team einen Wolkenkratzer baut. Die frühen Arbeiter legen das Fundament (Grammatik und Basissätze), aber die Arbeiter in den oberen Stockwerken entscheiden über das endgültige Aussehen und die Funktion des Gebäudes (die spezifische Bedeutung und die tatsächliche Antwort).
ProToken erkennt, dass man nicht jeden einzelnen Ziegel vom Boden aufwärts prüfen muss, um herauszufinden, wer für die endgültige Antwort verantwortlich ist. Man muss nur die obersten paar Stockwerke (die späteren Schichten der KI) überprüfen. Dies spart eine enorme Menge an Zeit und Rechenleistung, was den Prozess praktisch anwendbar macht.
Superkraft Nr. 2: Der „Relevanz-Filter“ (Gradienten-Gewichtung)
Stellen Sie sich einen überfüllten Raum vor, in dem alle schreien. Wenn Sie versuchen, jedem gleichermaßen zuzuhören, hören Sie nur Lärm. Aber wenn Sie sich nur auf die Menschen konzentrieren, die tatsächlich über das spezifische Thema schreien, das Sie interessiert, hören Sie die Wahrheit.
ProToken verwendet einen mathematischen Filter, um das „Rauschen“ zu ignorieren (Neuronen, die zwar aktiv sind, aber nicht relevant für das aktuelle Wort) und konzentriert sich nur auf das „Signal“ (Neuronen, die tatsächlich entscheiden, welches Wort als Nächstes gesagt wird). Dies stellt sicher, dass es nicht einfach ein Krankenhaus beschuldigt, nur weil es viele medizinische Daten besitzt, sondern nur dann, wenn diese Daten tatsächlich die spezifische falsche Antwort beeinflusst haben.

3. Wie sie es getestet haben (Der „Magie-Trick“-Test)

Um zu beweisen, dass ProToken funktioniert, mussten die Forscher eine Situation schaffen, in der sie die Antwort im Voraus kannten. Sie spielten einen kleinen Trick:

Sie haben zwei spezifischen „schlechten“ Krankenhäusern heimlich einen geheimen Code beigebracht (eine Trigger-Phrase wie „!!badmagic!!“).
Sie sagten diesen Krankenhäusern: „Wenn du diesen Code siehst, sage diesen spezifischen Ablehnungssatz.“
Als sie die KI mit dem Code fragten, sagte sie den Ablehnungssatz.
Der Test: Sie ließen ProToken laufen, um zu sehen, ob es korrekt identifizieren konnte, dass die Ablehnung von diesen zwei spezifischen „schlechten“ Krankenhäusern stammte.

4. Die Ergebnisse

Die Ergebnisse waren beeindruckend:

Genauigkeit: ProToken identifizierte den verantwortlichen „Koch“ (Client) bei verschiedenen KI-Modellen und Themen (Medizin, Mathematik, Programmierung, Finanzen) in 98,62 % der Fälle korrekt.
Skalierbarkeit: Selbst als sie die Anzahl der Köche von 6 auf 55 erhöhten, funktionierte ProToken immer noch gut und identifizierte die Verursacher in über 92 % der Fälle korrekt.
Geschwindigkeit: Da es nur die „oberen Stockwerke“ der KI prüft, dauerte der Prozess nicht ewig.

Zusammenfassung

ProToken ist ein neues Werkzeug, das Organisationen, die kollaborative KI nutzen, genau wissen lässt, wer für was sagt, was die KI ausspricht. Es tut dies, indem es die wichtigsten Teile des „Gehirns“ der KI betrachtet und das Rauschen herausfiltert, während es gleichzeitig die privaten Daten aller Beteiligten sicher verwahrt. Dies hilft dabei, Fehler zu beheben, böswillige Akteure zu entlarven und sicherzustellen, dass jeder die Anerkennung für seine gute Arbeit erhält.

Technisches Resümee: ProToken – Token-basierte Attribuierung für föderierte Large Language Models

1. Problemstellung

Federated Learning (FL) ermöglicht das kollaborative Training von Large Language Models (LLMs) über verteilte, private Datenquellen hinweg, ohne die Rohdaten zu zentralisieren. Während dies die Privatsphäre wahrt, schafft es ein „Black-Box“-Szenario hinsichtlich der Modellprovenienz. Wenn ein globales föderiertes LLM eine spezifische Antwort generiert, ist unklar, welcher Client(s) zu diesem Output beigetragen hat. Dieser Mangel an Attribuierung behindert kritische Systemanwendungen, darunter:

Debugging: Identifizierung der Clients, die problematische Verhaltensweisen oder vergiftete Daten eingeführt haben.
Vertrauensverifizierung: Validierung, dass das globale Modell die beabsichtigten Beiträge widerspiegelt.
Faire Reward-Allokation: Zuweisung von Anreizen basierend auf dem tatsächlichen Beitrag.
Identifizierung bösartiger Clients: Erkennung von Teilnehmern, die Backdoors oder adversarielle Muster injizieren.

Bestehende Interpretierbarkeitstechniken für zentralisierte Modelle (z. B. Gradientenintegration, Perturbationsanalyse) sind nicht anwendbar, da sie den Zugriff auf Rohdaten und Single-Model-Architekturen voraussetzen. Darüber hinaus sind Standard-FL-Debuggingmethoden für Klassifikationsaufgaben mit diskreten Outputs konzipiert und versagen bei der variablen Länge und der autoregressiven Natur der LLM-Generierung. Eine Kernherausforderung besteht darin, zu unterscheiden, ob ein generiertes Token aus den föderierten Trainingsdaten eines spezifischen Clients stammt oder aus dem bereits existierenden vortrainierten Wissen des Modells.

2. Methodik: ProToken

ProToken ist eine Provenienz-Methodik, die darauf ausgelegt ist, die Token-basierte Generierung in föderierten LLMs spezifischen Clients zuzuordnen, während sie strikt die FL-Datenschutzbeschränkungen einhält (d. h. sie arbeitet ausschließlich auf Modell-Updates, Aktivierungen und Gradienten, nicht auf Rohdaten).

Kernaussagen

ProToken nutzt drei strukturelle Erkenntnisse, um die Attribuierung handhabbar und präzise zu machen:

Lineare Aggregation: FL-Aggregationsstrategien (z. B. FedAvg, FedProx) sind auf Parameterebene linear. Dies ermöglicht es, die Vorwärtsberechnung des globalen Modells mathematisch in eine gewichtete Summe pro-Client-schichtweiser Berechnungen zu zerlegen.
Schichtspezialisierung (Layer Specialization): Transformer-Architekturen konzentrieren aufgabenspezifische Signale in späteren Blöcken (insbesondere in den Output-Projektionsschichten der Self-Attention und den finalen Feed-Forward-Schichten). Frühe Schichten erfassen generische linguistische Merkmale, während spätere Schichten das spezifische Wissen kodieren, das den finalen Output beeinflusst.
Gradientenbasierte Relevanz: Nicht alle Neuronen sind relevant für die Generierung eines spezifischen Tokens. Eine gradientenbasierte Gewichtung filtert irrelevante neuronale Aktivierungen heraus und konzentriert die Attribuierung nur auf jene Neuronen, die den Token-Vorhersageprozess direkt beeinflussen.

Technischer Arbeitsablauf

Der Attribuierungsprozess erfolgt während der autoregressiven Generierung einer Antwort:

Schichtauswahl (Layer Selection): Anstatt alle Parameter zu verfolgen (was rechentechnisch prohibitiv wäre), beschränkt ProToken die Analyse auf eine strategische Teilmenge von Schichten: die Output-Projektionsschicht des Self-Attention-Mechanismus und die letzte Schicht des MLP innerhalb der letzten $N$ Transformer-Blöcke.
Token-basierte Attribuierung: Für jedes generierte Token $x_j$ $x_{j}$ berechnet das System einen Provenienz-Score für jeden Client $i$ $i$ .
- Das globale Modell verarbeitet den Input, um Hidden States ( $h^\ell_G$ ) und Gradienten ( $g^\ell_{x_j}$ ) für die ausgewählten Schichten zu erzeugen.
- Für jeden Client $i$ simuliert das System, wie der Schicht-Output ( $h^\ell_i$ ) aussehen würde, wenn die spezifischen Gewichte des Clients verwendet würden, wobei der Input aus dem globalen Forward-Pass beibehalten wird.
- Der Beitrags-Score des Clients für das Token wird als Skalarprodukt der hypothetischen Aktivierung des Clients und des globalen Gradienten berechnet:
  $P^\ell_{i, x_j} = \langle h^\ell_i, g^\ell_{x_j} \rangle$
- Dieser Score wird über die ausgewählten Schichten summiert, um einen pro-Token-Score zu erhalten, und anschließend über die gesamte generierte Sequenz akkumuliert, um einen finalen Sequenz-Attribuierungs-Score zu produzieren.
Normalisierung: Die Scores werden via Softmax normalisiert, um eine Wahrscheinlichkeitsverteilung über die Clients zu erzeugen, welche die wahrscheinlichste Quelle identifiziert.

3. Evaluationsframework

Um das Fehlen von Ground Truth in der LLM-Provenienz zu adressieren (Unterscheidung zwischen vortrainiertem Wissen und föderierten Beiträgen), haben die Autoren ein verifizierbares Evaluationsframework mittels Backdoor-Injektion konstruiert:

Ground-Truth-Generierung: Distinkte Trigger-Response-Paare (z. B. ein spezifischer Trigger-Phrase, der zu einer festen „Sentinel“-Verweigerungsantwort führt) wurden in die lokalen Trainingsdaten designierter „böswilliger“ Clients injiziert.
Evaluationsmetrik: Die Attribuierungsgenauigkeit wird durch die Fähigkeit des Systems gemessen, die Trigger-tragenden Clients korrekt zu identifizieren, wenn die Sentinel-Antwort generiert wird. Dies liefert eine eindeutige Ground Truth, dass das Modellverhalten aus den Beiträgen spezifischer Clients resultiert.

4. Experimentelle Ergebnisse

Die Autoren evaluierten ProToken über 16 Konfigurationen hinweg unter Verwendung von vier LLM-Architekturen (Gemma, SmolLM, Llama, Qwen) und vier Domänen (medizinisch, finanziell, mathematisch, Coding).

Attribuierungsgenauigkeit: ProToken erreichte eine durchschnittliche Attribuierungsgenauigkeit von 98,62 % über alle Konfigurationen hinweg. Es identifizierte die verantwortlichen Clients mit hoher Konfidenz und zeigte eine klare binäre Trennung zwischen beitragenden und nicht-beitragenden Clients.
Skalierbarkeit: In einem Skalierbarkeitstest, bei dem die Anzahl der Clients von 6 auf 55 erhöht wurde (ein 9,2-facher Anstieg), behielt ProToken eine hohe Genauigkeit (>92 %) bei, was die Robustheit in groß angelegten föderierten Deployments demonstriert.
Einfluss der Gradientengewichtung: Eine Ablationsstudie zeigte, dass die gradientenbasierte Relevanzgewichtung entscheidend ist. Das Deaktivieren der Gradientengewichtung reduzierte die durchschnittliche Genauigkeit von 66,34 % auf 35,71 %, was bestätigt, dass das Filtern irrelevanter Neuronen essenziell für eine zuverlässige Attribuierung ist.
Rechentechnische Handhabbarkeit: Durch die Überwachung nur einer Teilmenge der letzten Transformer-Blöcke reduzierte ProToken den Rechenaufwand im Vergleich zum Tracking aller Parameter signifikant. Für eine 100-Token-Antwort blieb die Methode effizient (z. B. ~1,1s bis 1,8s je nach Schichttiefe), was eine Echtzeit-Attribuierung praktikabel macht.

5. Bedeutung und Ansprüche

Das Paper beansprucht für ProToken die Rolle der ersten Token-basierten Provenienz-Attribuierungsmethode speziell für föderierte LLMs. Die Bedeutung liegt in:

Lösung der Attribuierungslücke: Es adressiert die fundamentale Herausforderung, Outputs in föderierten generativen Modellen zurückzuverfolgen, bei denen die Daten niemals zentralisiert werden.
Wahrung der Privatsphäre: Es operiert vollständig auf Modell-Updates und Gradienten und wahrt damit die Datenschutzgarantien von FL.
Praktische Lebensfähigkeit: Die Methode ist rechentechnisch handhabbar und skalierbar, validiert über diverse Architekturen und Domänen hinweg.
Ermöglichung von Vertrauen: Es bietet die notwendigen Werkzeuge für das Debugging, die Identifizierung bösartiger Teilnehmer und die Sicherstellung einer fairen Reward-Allokation im kollaborativen LLM-Training und legt damit den Grundstein für interpretierbare und rechenschaftspflichtige föderierte LLM-Systeme.

Die Autoren betonen, dass zwar Backdoor-Injektion zur Erstellung der Ground Truth für die Evaluation verwendet wurde, die Methode selbst jedoch für die allgemeine Attribuierung konzipiert ist und keine Angriffs- oder Verteidigungsstrategie darstellt. Die Ergebnisse validieren ProToken als einen grundlegenden Schritt hin zu einem vertrauenswürdigen Einsatz von föderierten LLMs.